許多考慮採用雲端的公共事業客戶都需要能夠信任客戶和個人資料會保存在特定的地理區域中。 這些界限可能會對應到客戶作業或客戶終端使用者所在的位置。 Microsoft 針對可供客戶使用的所有線上服務皆提供資料位置的透明度。 其具備保護客戶的待用和傳輸中資料的主要準則，該準則也是引導所有與資料之互動的客戶起始支援要求指南的一部分。

為了清楚說明資料在雲端中的保護方式，Microsoft 針對雲端服務建立了數個資料類別和定義，包括下列詞彙：

• 客戶資料是客戶透過使用 Microsoft 線上服務而提供給 Microsoft，使其代表客戶管理的所有資料。
• 客戶內容是客戶資料的子集，例如存放在客戶 Azure 儲存體帳戶中的內容。
• 個人資料代表與特定自然人相關聯的所有資訊，例如客戶終端使用者的姓名和連絡資訊。 不過，個人資料也可能包括非客戶資料的資料，例如 Azure 可以為每個客戶系統管理員產生及指派的使用者識別碼，此類個人資料會被視為匿名，因為其並無法個別用來識別個人。
• 支援與諮詢資料意指客戶提供給 Microsoft 以取得支援或專業服務的所有資料。

根據歐盟 GDPR，個人資料的定義廣義為包括已連結或可連結到個人的資料。 其不僅包括客戶資料或其他明顯的個人識別項 (例如姓名和地址) 類型，還包括唯一但匿名化的個人識別碼，例如可能唯一識別碼 (PUID) 和全域唯一識別碼 (GUID)。 後者的匿名化個人資料類型通常會透過雲端服務的作業自動產生。 在 Microsoft，系統會自動產生這些類型的識別碼，以追蹤直接與 Azure 服務互動的使用者，例如客戶的系統管理員。 例如，PUID 是透過字元和數字的組合以程式設計方式產生的隨機字串，可提供高機率的唯一性。 匿名化的識別碼會儲存在集中式的內部 Azure 系統中，以符合歐盟 GDPR 的規範要求，包括針對主動刪除案例少於 30 天的保留期間。

儘管某些個人資料本身可用來識別使用者 (例如使用者名稱、顯示名稱、使用者主體名稱，或甚至是使用者特定的 IP 位址)，PUID、GUID 及其他自動產生的個人識別碼都會被視為匿名的，因為其無法個別用來識別個人。 這些匿名化的識別碼不會包含客戶上傳或建立的任何資訊。

資料主權意指資料落地，但也會引進規則和需求，以定義誰可以控制及存取存放在雲端的客戶資料。 在許多情況下，資料主權要求客戶資料必須遵守資料所在國家/地區的法律和法定管轄權規範。 這些法律可能會對資料存取產生直接影響，即使是針對平台維護或客戶起始的支援要求也是一樣。 客戶可以針對內部部署和邊緣解決方案，將 Azure 公用多租用戶雲端與 Azure Stack Hub 及 Azure Stack Edge 結合使用，以符合其資料主權的需求。 客戶也可以部署這些其他產品來讓他們能夠完全掌控其資料，包括儲存、處理、傳輸和遠端存取。

Microsoft 在您的資料所在位置頁面中，為可供客戶使用的所有線上服務提供清楚的資料位置見解。 如果客戶想要確保其客戶資料只會儲存在特定地理位置中，就應該從提出承諾的許多區域服務中進行選取。

Azure 在資料落地和傳輸原則方面提供了強大的客戶承諾：

• 適用於區域服務的資料儲存體：大部分的 Azure 服務都是依區域部署，可讓客戶指定服務將要部署到哪個區域。 Microsoft 不會將客戶資料儲存在客戶指定的地理位置以外的地方，但少數區域服務和預覽服務除外，如 Azure 資料位置頁面所述。 此承諾有助於確保存放在指定區域的客戶資料仍將保留於對應的地理位置，而且針對大部分區域服務將不會移至另一個地理位置。 如需服務可用性，請參閱依區域提供的產品。
• 適用於非區域服務的資料儲存體：某些 Azure 服務不能讓客戶指定要部署服務的區域，如資料位置頁面中所述。 如需非區域服務的完成清單，請參閱依區域提供的產品。

Azure 儲存體帳戶中的客戶資料一律會進行複寫 (部分機器翻譯)，以協助確保持久性和高可用性。 Azure 儲存體會複製客戶資料，以防止暫時性硬體故障、網路或電源中斷，甚至是大規模的自然災害。 客戶通常可以選擇在相同資料中心內、在相同區域內跨可用性區域，或是跨地理分隔的區域上複寫其資料。

如資料位置頁面上所述，大部分的 Azure 區域服務都會接受待用資料承諾，以確保客戶資料仍會保留於部署對應服務的地理界限內。 資料位置頁面上已註明此規則的少數例外狀況。 客戶應檢閱這些例外狀況，以決定存放在其所選擇之部署地理位置外部的資料類型是否符合其需求。

非區域 Azure 服務不能讓客戶指定要將服務部署至哪個區域。 某些非區域服務完全不會儲存客戶資料，只會提供全域路由傳送功能，例如 Azure 流量管理員或 Azure DNS。 其他非區域服務旨在用於全球邊緣位置的資料快取，例如內容傳遞網路。 此類服務是選擇性的，且客戶不應將其用於想保留在地區中的敏感性客戶內容。 有個更值得討論的非區域服務是 Microsoft Entra ID，我們將在之後的章節加以討論。

雖然客戶無法精確控制傳輸中資料的網路路徑，但將傳輸中的資料加密可協助保護資料免於被攔截。

傳輸中的資料適用於涉及在下列各項之間移動資料的案例：

• 客戶的終端使用者與 Azure 服務。
• 客戶的內部部署資料中心與 Azure 區域。
• 作為預期的 Azure 服務作業之一的Microsoft 資料中心。

儘管在該地理位置內兩個點之間的傳輸中資料通常會保留在地區中，但由於網路會自動重新路由傳送流量以避免壅塞或略過其他中斷，因而並無法對此做出 100% 的保證。 但是，傳輸中的資料仍可透過加密來保護。

Microsoft Entra ID 是非區域服務，可以在全域儲存 Active Directory (AD) 資料，但在下列區域中的 Microsoft Entra 部署除外：

• 美國，其中身分識別資料只會存放在美國。
• 歐洲，其中 Microsoft Entra ID 會將大部分的身分識別資料保留於歐洲資料中心，但 Microsoft Entra ID 中歐洲客戶的資料儲存體和處理 (英文) 一文中所註明的情況除外。
• 澳大利亞和紐西蘭，其中會將身分識別資料存放於澳大利亞，但 Microsoft Entra ID 中澳大利亞和紐西蘭客戶的客戶資料儲存體 (部分機器翻譯) 中所註明的情況除外。

Microsoft Entra ID 提供儀表板 (英文)，讓您能夠取得每個 Microsoft Entra 元件服務之資料位置的清楚見解。 Microsoft Entra ID 提供許多功能，其中一個是身分識別管理服務，可儲存適用於客戶的 Azure 系統管理員的目錄資料，包括使用者個人資料，例如姓名、電子郵件地址及其他個人資訊。

Microsoft Entra ID 可實作大量的資料保護功能，包括租用戶隔離和存取控制、傳輸中的資料加密、祕密加密和管理、磁碟層級加密、各種 Microsoft Entra ID 元件所使用的進階密碼編譯演算法、適用於內部人員存取的資料作業考量等。 如需詳細資訊，請參閱 Active Directory 資料安全性考量白皮書。

已制定的隱私權法規 (例如歐盟 GDPR) 對於資料落地和資料位置並無明文規定，而且允許使用已核准的機制 (例如歐盟標準合約條款，亦稱為歐盟示範條款) 進行資料傳輸。 Microsoft 在線上服務條款資料保護增補合約 (英文) (DPA) 中依約承諾，所有出自歐盟、歐洲經濟區 (EEA) 和瑞士之客戶資料的潛在傳輸都應受到歐盟示範條款所規範。 Microsoft 將遵守 EEA 和瑞士資料保護法的規定，範圍涵蓋來自 EEA 和瑞士之個人資料的收集、使用、傳輸、保留及其他處理方式。 所有個人資料的傳輸都會受到適當的保護和文件規定所約束，如歐盟 GDPR 所述。

接下來，我們將探討 Azure 如何使用加密來保護其生命週期內的資料。